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Burp を 使用 し て WAS の スキ ャ ン の た め に REST API 

エン ド ポ イン ト を 取得 する 

Qualys Web Application Scanning (WAS) は Burp を 使用 し た REST API の セキ ュ リ ティ テス ト を サポ ー ト し て いま す 
が 、 新 た に Swagger に つい て も サポ ー ト する よう に な り ま し た 。 


Swagger に 対す る サポ ー ト が 追加 され た こと を ご 存 知 で し た か ? 


Swagger ファ イル を お 持ち な ら 、 REST API の セキ ュ リ ティ テス ト に は Burp で は な く 、Swagger を 使用 され る こと を お 
勧め し ます 。 Qualys ブロ グ の 情報 (英語 ) 


Burp 使用 の 概要 


REST サー ビス の スキ ャ ン は 複数 の 手順 か ら 成 る プロ セス で あり 、 それ に は Burp を 使用 し た リク エス ト の 取得 お よび 
スキ ャ ン す る Web アプ リケーション の 設定 が 含ま れ ま す 。 以下 で は 、 こ の 手順 に つい て 説明 し ます 。 


Burp プロ キシ ツー ル を 使用 する REST サー ビス へ の リク エス ト を 記録 する 


実行 する 必要 の ある 最初 の こと は 、 プ ラウ ザ 上 で プロ キシ を 有効 に する こと で す 。 次 に 、 プ ロキ シ を 有効 に し た ブラ ウ 
ザ 上 で RESTful APl サー ビス へ の リク エス ト を 次 の よう に し て 作成 し ます 。 


>| | 1010.3514:8080/WebServiceRestful_Seryer/RequestFormjsp 


Create Rest Request 


URL http:/710.10.35.14-8080/WebServiceRestful_Server7resstudenVsavetoFile 


Method PUT 


Post Data で command"-"ping -c2 -i localhost]", "content":"10.10.35.14Text"} 


Send 


Response Bad option -c2.Usage- ping [-t] [-a] [-n count] [-! size] [-f] [i TTL] [-v TOS] [r count] [-s count] [日 
hostlist] | [-k host-list]] [-w timeout] [-R] [-S srcaddr] [-4] [-6] target_nameOptions: t Ping the 
specified host until stopped. To see statistics and continue - type ControL-Break: To 
stop - type ControLC. -a Resolve addresses to hostnames. -ncount Number of echo requests 
to send. -lsize Send buffer size. -f Set Dont Fragment flag in packet (IPv4-only)。 i TTL 
Time To Live. -vTOS Type Of Service (IPv4-only. This setting has been deprecated and 
has no effect on the type of service field in the IP Header). -rcount Record route for count hops (IPv4- 
only). -S count Timestamp for count hops (IPv4-only). -j host-list Loose source route along host-list 
(IPv4-only)。 -khost-list Strict source route along hostlist (IPv4-only)、 -wtimeout Timeout in 
milliseconds to wait for eachreply. -R Use routing header to test reverse route also (IPv6- 
only) Per RFC 5095 the use of this routina header has been deprecated. Some 
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REST サー ビス に 必要 な リク エス ト を すべ て 作成 し ます 。 それ ら は 、 次 の よう に 、 Burp ツー ル に 一 覧 表示 され ます 。 
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スキ ャ ン す る 項目 を 選択 し ます 。 右 ク リッ ク し て 、 そ の 項目 を すべ て 保存 し ます 。 
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WAS スキ ャ ン を 起動 する よう Web アプ リケーション を 設定 する 
Qualys に ログ イン し て 、 モジ ュー ルビ ピッ カー か ら 「Web Application Scanning」 (WAS) を 選択 し ます 。 


| Web Application Scanning 。 マ 


アク ティ ブ モ ジュ ー ル (13) 


PCI Compliance 
dc pas Lee" 上 Standard (DSS) へ の コン プラ イ 
アン ス を 舌 成 し ます 。 


AssetView 


MV 導 アセ ッ ト を 栓 も し 、 型 的 タグ を 使用 し て お 客 持 の アセ 
4 - 
Cloud Agent 


【⑨4 間 お を 格 の ホス ト 上 に エー ジェ ント を 配 填 し て ネッ トワ 
ー ク セキ ュ リ ティ を 更新 し ます < 


VM 1 
り 間 お ちほ の ネッ トワ ー ク の マッ スキ ャ ン を 生 
a PE Ti 
午 な な セキ ュ リティ リス ク の 系 視 と アラ ー ト を 投 直し 


Tnreat Protection 
| Add tnreat intelligence feed to your existing AssetView 


Policy liance 
IT セキ ュ リ ティ コン プラ イア ンス の 定義 、 監 間 、 文 書 


Web Application Scanning 

WAS eg リタ ーション の セキ ュ リティ リス ク を 特 直 
し て 管理 し ます ・ 
Web Application Firewall 

WAF る 吉 を 知 し 、 お 客 様 の Web アプ リケーション を 保 


Malware Detection 
リリ web サイ ト の マル ウェ アリ スク を 特定 し て 管理 し ま 


Qualys Web アプ リケーション スキ ャ ン 


ダッ シュ ボー ド で 「Web アプ リケーション 追加 」 ボ タン を クリ ッ ク す る か 、 また は 「Web アプ リケーション 」->「 新 規 」-> 
「Web アプ リケーション 」 と 移動 し ます 。 次 に 、 開始 点 を 選択 し ます 。 「 空 白 」 を 選択 する と 、 Web アセ ッ ト を 新規 で 作 
成す る こと が で きま す 。 


| Web アプ リケーション の 作成 
Web アプ リケーション の スタ ー ト ポイ ント を 選択 し ます 。 


ER 


既存 の アセ ッ ト 


Web アプ リケーション に 名 前 を 付け 、RESTful API サー ビス に URL を 入力 し ます 。 


Web アプ リケーション 作成 ヒン ト 表 示 有効 | 無効 ヘル プ を 起動 区 


ステ ッ プ 1 10 スキ ャ ヤン する アセ ッ ト の 情報 を 指定 


Q@ アセ ッ ト の 話 細 マツ RESTSemice-Courses 
アプ リケーション の 詳 対象 の 定義 
細 
スキ ャ ン 設 定 Web アプ リケーション の URL* 
、 lp:// 10.10.35.14:8080/WebServiceRestfi 
Swagger ベー ス の REST API を スキ ャ ン す る に は 、Web アプ リケーション の URL が Swagger ファ イル を 指し て いる 必要 が あ 


り ま す 。 ス キャ ヤン 対象 と し て 指定 し た すべ て の Web アプ リケーション を スキ ャ ン す る パー ミッ ショ ン が ある か を 確認 し て くだ 
さい . 


カス タム 属性 


サブ スク リプ ショ ン 内 で この Web アプ リケーション を 分 類する の に 役立つ 属性 情報 を 指定 し ます 。 
名 前 値 


_ | |1 行 また は 株 数 行 を 入力 て | 通 加 


タグ 
Web アプ リケーション に 適用 する タグ を 選択 選択 | 作成 | すべ て 削 府 


ィ ーー ュ rmanー ニ ーーー 
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巡回 範囲 を 選択 し 、 必要 に 応じ て 明示 的 な URI を 入力 し ます 。 次 に 、「Burp ログ ファ イル を アッ プロ ー ド 」 を クリ ッ ク 
し ます 。 


Web アプ リケーション 作成 


ステ ッ プ 2/ 10 スキ ャ ン す る Web アプ リケーション に つい て 指定 し て くだ さい 


いじ) Sl フィー ルド 
アセ ッ ト の 詳細 3 “ママ 対象 の 定本 
Web アプ リケーション の URL 


アプ リケーション の 詳 〆 
細 


スキ ャ ン 設 定 ーー 
URL ホス ト 名 以下 に 制限 マ 
巡回 設定 


明示 的 に 巡回 する URL / REST の パス と バラ メー タ / SOAP WSDL の ロケ ーション 
重複 リン ク 


認証 

除外 

アド バン ス オ プ ショ ン Burp ログ ファ イル 

コメ ント スキ ャ ン テ ス ト て で Bup ログ ファ イル を アッ プロ ー ド する こと が で きま す 。 フ ァイル を アッ プロ ー ド 


する と 、 フ ァイル が 解析 され て リク エス ト が 作成 され 、 そ れ ら の リク エス ト の 悦 回 と テス ト が 実行 さ 
れ ま す 。 


Burp ログ ファ イル を アッ プロ ー ド 


に 
「 フ ァイル を 選択 」 を クリ ッ ク し て 、 アッ プロ ー ド する た め に 取得 済み の Burp ファ イル を 参照 し ます 。 


- 
Web アプ リケーション 作成 ヒン ト 表示 大 効 [無効 ヘル プ を 起動 % 
『 


| 


て くだ さい 


ステ ッ プ 2711 スキ ャ ン す る Web アプ リケーション に つい て 指定 し 


コン ピュ ー タ か ら フ ァイル を イン ボー ト 


コン ピュ ー タ か ら フ ァイル を 選択 し て くだ さい 。 人 NE 


で 、 


ここ に ファ イル を ドロ ッ プ 


| キャ ン セ ル ほ 守 | sg 


Burp ログ ファ イル の アッ プロ ー ド が 正常 に 終了 する と 、 レ ポー ト の 作成 日 、 バ ー ジ ョ ン 、 取得 し た 項目 数 、 サ イズ な ど 
の ファ イル の 詳細 情報 が 画面 に 表示 され ます 。 ファ イル を 解析 し て リク エス ト を 作成 し て か ら 、 Web アプ リケーション 
を 巡回 し ます 。 


「 


一 度 に 、 最 大 で SMB の サイ ズ の Burp ファ イル を 1 つ だ け ア ッ プ ロー ド す る こと が で きま す 。 2 つ 目 の ファ イル を アッ 
プロ ー ド する と 、 新しい ファ イル で 以前 の ファ イル は 置き 換え られ ます 。 
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Web アプ リケーション 作成 


ステ ッ プ 2 10 スキ ャ ン す る Web アプ リケーション に つい て 指定 し て くだ さい 
1 アセット の 詳細 請 マゾ 回 辻 * 
URL ホス ト 名 以下 に 制限 マ 
@ アフ リケーション の 詳 マ ーー 
細 明示 的 に 巡回 する URL / REST の バス と バラ メー タ / SOAP WSDL の ロケ ーション 
3 スキャン 設定 
4 巡回 設定 
5 重複 リン ク 
Burp ログ ファ イル 
6 
に スキ ャ ン テ デスト で Burp ログ ファ イル を アッ プロ ー ド する こと が で きま す 。 フ ァイル を アッ プロ ー ド 
する と 、 フ ァイル が 解析 され て リク エス ト が 作成 され 、 そ れ ら の リク エス ト の 居 回 と テス ト が 毒 行 さ 
7 除外 れ ま す 。 


8 アド バン ス オ プ ショ ン 9 Burp ログ ファ イル を アッ プロ ー ド 


9 コメ ント 68_39_3004_get_post_put_404 


Report Date Burp Version # ltems Size 


03 Feb 2017 1.7.15 4 7.1 KB 


「 続 行 」 を クリ ッ ク し て 残り の 手順 を 行い 、 新しい Web アプ リケーション を 保存 し ます 。 (「 ス キャ ン 設 定 」 に ある ) オプ 
ショ ンプ ロフ ァイル 、 巡回 設定 、 認 証 オ プシ ョ ン な ど を 選択 する よう 求め られ ます 。 注記 - 選択 する オプ ショ ンプ ロフ ァ 
イル は 、SmartScan が 有効 に な っ て いる 必要 が あり ます (以下 を 参照 )。 


オプ ショ ンプ ロフ ァイル 作成 
ステ ッ プ 2/5 スキ ャ ヤン の 実行 方 法 を 定義 し て くだ さい 


1 プロ ファ イル の 詳細 マダ 
文書 タイ プ 細 ファ イル 拡張 子 を 明 準 に 、 一 般 的 な バイ ナリ ファ イル を 無視 し ま 
@ +r> バ sx メッ - タ マン 


SmartScan サポ ー ト 
有効 化 さ れる と 、 ペ ー ジ ご と に 多数 の アク ショ ン を 行う 拡張 AJAXSPA ディ ー プ クロ ー ル と 脆 蓄 性 テス ト を 使用 し た 高 


度 な スキ ャ ン が 実行 され ます 。 ご の オプ ショ ン は 、 旦 新 の フレ ー ム ワー ク と テク ノロ ジ が 使用 され て いる サイ ト の スキ 
ヤン に お 勧め し ます 。 


の SmartScan サポ ー ト を 有効 に する 


ベ ページ ご と に テス ト で きる 多く の 操作 を カス タマ イズ で きま す 。 設定 する 数 字 が 大 きい ほど 、 ス キャ ン に か が か る 時 間 が | 
長く な り ま す 。 


SmartScan の 深度 * 


これ ら の 設定 は 、 ス キャ ン が 停止 する し きい 値 を 定義 し ます 。 こ れ ら の 融 定 を 非 ア クティ ブ 化 に し た 場合 、 見 つか っ た 
エラ ー の 数 に 関係 な く 、 ス キャ ン は 継続 し ます 。 


9 タイ ム ア ウ ト エ ラー の し きい 値 。 100 


以上 で 完了 で す 。 Web アプ リケーション が 設定 され 、 ス キャ ン を 行う 準備 が 整い まし た 。 


最終 更新 日 : 2018 年 4 月 30 日 
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